Chrome : Google corrige un 4e zero-day exploité en 2026

La veille cybersécurité permanente est devenue une nécessité opérationnelle pour les équipes de sécurité, permettant d'anticiper les nouvelles menaces, de prioriser les actions de remédiation et d'adapter les stratégies de défense en temps réel. L'actualité de la cybersécurité est marquée par une accélération sans précédent des menaces, des vulnérabilités et des incidents affectant organisations et particuliers à l'échelle mondiale. Les équipes de sécurité doivent maintenir une veille permanente pour anticiper les risques émergents, appliquer les correctifs critiques et adapter leurs stratégies de défense. Cette analyse décrypte les derniers événements marquants du paysage cyber et leurs implications concrètes pour la protection de vos systèmes d'information. À travers l'analyse de Chrome : Google corrige un 4e zero-day exploité en, nous vous proposons un décryptage complet des enjeux et des solutions à mettre en œuvre.

Ce qui s'est passé

Le 1er avril 2026, Google a poussé une mise à jour hors cycle pour Chrome Desktop (Stable channel) afin de corriger la vulnérabilité CVE-2026-5281, un bug de type use-after-free dans Dawn, la bibliothèque open source qui implémente le standard WebGPU au sein de Chromium. Selon la base NVD du NIST, cette faille « permettait à un attaquant distant ayant compromis le processus de rendu d'exécuter du code arbitraire via une page HTML spécialement conçue ».

C'est le quatrième zero-day Chrome activement exploité depuis le début de l'année 2026, après les CVE ciblant Skia, V8 et le moteur de rendu. Google a confirmé l'existence d'un exploit fonctionnel circulant dans la nature, sans révéler les détails techniques des attaques observées ni l'identité des attaquants, conformément à sa politique de divulgation responsable.

Les versions affectées sont celles antérieures à 146.0.7680.177 pour Linux et 146.0.7680.177/178 pour Windows et macOS. Dawn étant un composant partagé du projet Chromium, d'autres navigateurs comme Edge, Brave ou Opera sont également vulnérables et doivent être mis à jour dès que leurs éditeurs publient leurs propres correctifs.

Pourquoi c'est important

WebGPU est un standard relativement récent mais en adoption croissante, utilisé pour le gaming dans le navigateur, l'inférence de modèles de machine learning côté client et la visualisation de données. En ciblant Dawn, les attaquants visent une surface d'attaque en pleine expansion qui touche potentiellement des milliards d'utilisateurs de navigateurs Chromium. La fréquence des zero-days exploités en 2026 — quatre rien que pour Chrome — témoigne d'une intensification de la recherche offensive sur les composants graphiques et GPU des navigateurs.

Pour les entreprises, chaque zero-day non corrigé représente une fenêtre d'exposition critique. Les équipes sécurité doivent s'assurer que leurs politiques de déploiement de correctifs navigateur permettent une mise à jour sous 24 heures pour les vulnérabilités activement exploitées, conformément aux recommandations de l'ANSSI et du CISA.

Ce qu'il faut retenir

• Mettez à jour Chrome vers la version 146.0.7680.177 (Linux) ou 146.0.7680.178 (Windows/macOS) sans délai.
• Vérifiez également les mises à jour de Edge, Brave et tout navigateur basé sur Chromium dans votre parc.
• Activez les mises à jour automatiques de Chrome et supervisez leur déploiement effectif via votre outil de gestion de parc (Intune, SCCM, etc.).